Samodzielnie hostowany pulpit zdalny: dlaczego, jak i co się psuje

Samodzielnie hostowany pulpit zdalny zazwyczaj oznacza jedną z dwóch rzeczy: hosting własnej infrastruktury relay/rendezvous dla narzędzia takiego jak RustDesk lub hosting całej platformy zdalnego dostępu opartej na Internecie, takiej jak Apache Guacamole lub MeshCentral. Obie są uzasadnionymi podejściami; mają różne kompromisy. Ten artykuł opisuje, dlaczego możesz samodzielnie hostować, trzy poważne narzędzia w tej dziedzinie, jak wygląda nadzór operacyjny i kiedy samodzielne hostowanie jest naprawdę lepsze niż korzystanie z zarządzanej usługi.

TL;DR: Samodzielnie hostuj, jeśli masz surowe wymagania dotyczące suwerenności danych (GDPR, regulowane branże, wdrożenia tylko wewnętrzne), jeśli chcesz mieć zerowe bieżące koszty licencji na dużą skalę lub jeśli naprawdę wolisz prowadzić własną infrastrukturę. Pomiń samodzielne hostowanie, jeśli jesteś małym zespołem bez dedykowanego DevOps, jeśli potrzebujesz certyfikacji gotowych do zakupu lub jeśli wolisz płacić 7,99 USD/miesiąc, aby pozbyć się problemu.

Dlaczego samodzielnie hostować?

Suwerenność danych

Najważniejszy powód, dla którego organizacje samodzielnie hostują. Jeśli jesteś objęty GDPR, HIPAA lub regulacjami specyficznymi dla danego sektora (niemieckie bankowość, francuski rząd, wykonawcy obronni), routowanie sesji zdalnego pulpitu przez zewnętrzną usługę SaaS — nawet taką z solidnym szyfrowaniem — może nie spełnić wymogów audytorów. Samodzielne hostowanie na infrastrukturze, którą posiadasz (lub wynajmujesz w regionie, który kontrolujesz), całkowicie eliminuje zależność od osób trzecich. Chociaż nasz zarządzany relay widzi tylko ciphertext, "relay nie widzi nic, ponieważ prowadź relay" jest silniejszą pozycją w zakresie zgodności.

Wdrożenia tylko wewnętrzne

Jeśli ruch związany z pulpitem zdalnym nie powinien nigdy opuszczać Twojej sieci — powiedzmy, przemysłowy system kontrolny odizolowany od Internetu lub LAN szpitalny z rygorystycznym filtrowaniem egress — zarządzana usługa w chmurze ma fundamentalnie niewłaściwą strukturę. Potrzebujesz relay'a, który znajduje się w Twojej LAN, dostępnego tylko dla autoryzowanych urządzeń.

Koszt na dużą skalę

Dla bardzo dużych wdrożeń (1000+ punktów końcowych) koszt zarządzany na podstawie liczby miejsc sumuje się. Samodzielnie hostowany relay działający na VPS za 40 USD/miesiąc może obsługiwać tysiące jednoczesnych sesji, jeśli pozwala na to Twoja przepustowość. Punkt rentowności w porównaniu z cenami zarządzanymi zależy od narzędzia, ale przy skali MSP i przedsiębiorstwie, samodzielne hostowanie wygrywa pod względem surowego kosztu.

Dostosowanie i kontrola

Samodzielne hostowanie pozwala na modyfikację źródła (pod warunkiem przestrzegania zasad AGPL-3.0), dostosowanie marki bez płacenia za białą etykietę oraz dostosowanie zachowań relay'a do Twojej konkretnej topologii sieciowej.

Kompromisy, które akceptujesz

Samodzielne hostowanie nie jest darmowe. Koszty pojawiają się w postaci nadzoru DevOps, a nie w dolarach miesięcznie. Konkretnie:

• Provisioning serwera i konserwacja: Potrzebujesz serwera Linux z publicznym IP (aby relay był osiągalny), monitorowania, rotacji logów, łatania systemu operacyjnego, a prawdopodobnie także infrastruktury kopii zapasowej. Planuj 2-4 godziny miesięcznie na utrzymanie w stanie stabilnym, więcej podczas incydentów.
• Konfiguracja NAT i zapory ogniowej: Relay musi być osiągalny z Internetu na konkretnych portach (21115-21119 dla domyślnej konfiguracji RustDesk). Jeśli działasz w sieci NAT, musisz skonfigurować przekierowanie portów z krawędzi do hosta relay'a.
• Zarządzanie certyfikatami: Jeśli chcesz TLS na interfejsie zarządzania (powinieneś), potrzebujesz Let's Encrypt certbot lub podobnego. Odnowienia co 60-90 dni, automatyzacja za pośrednictwem cron.
• Planowanie przepustowości: Pojedynczy relay może obsłużyć wiele ruchu, ale w pewnym momencie potrzebujesz drugiego, a potem równoważenia obciążenia. Teraz stajesz się zespołem infrastrukturalnym.
• Brak wsparcia od dostawcy: Kiedy coś się zepsuje o 2 w nocy, nie ma infolinii wsparcia. Debugujesz samodzielnie lub czekasz, aż społeczność się obudzi.

Trzy poważne narzędzia

RustDesk (i forki takie jak GoDesk)

Architektonicznie najprostsze z trzech. Dwa binaria: hbbs (serwer rendezvous, ~30 MB RAM) i hbbr (relay, ~50 MB RAM). Oba to statyczne binaria Rust bez zewnętrznych zależności. Konfiguracja jest mniej więcej taka:

# Na VPS z publicznym IP
wget https://github.com/rustdesk/rustdesk-server/releases/latest/download/rustdesk-server-linux-amd64.zip
unzip rustdesk-server-linux-amd64.zip

# Uruchom hbbs (rendezvous) i hbbr (relay) jako usługi
sudo ./hbbs -r twoje.publiczne.ip
sudo ./hbbr

# Otwórz porty 21115/tcp, 21116/tcp+udp, 21117/tcp, 21118/tcp, 21119/tcp
sudo ufw allow 21115:21119/tcp
sudo ufw allow 21116/udp

# Wskaz klientów na Twój serwer: w ustawieniach klienta,
# ID Serwera = twoje.publiczne.ip, Serwer Relay = twoje.publiczne.ip,
# Klucz publiczny = (wydrukowany przez hbbs przy pierwszym uruchomieniu, lub sprawdź id_ed25519.pub)

Ślad zasobów jest minimalny — drobny droplet DigitalOcean za 5 USD/miesiąc obsługuje dziesiątki jednoczesnych sesji. Oficjalny serwer RustDesk Pro (płatny) dodaje konsolę zarządzania w Internecie, logi audytowe, LDAP/OIDC oraz funkcje stylu brokera dla większych wdrożeń.

Apache Guacamole

Inna architektura: Guacamole to aplikacja internetowa HTML5 bez klienta. Użytkownicy łączą się za pośrednictwem przeglądarki; backend Guacamole (guacd) tłumaczy RDP, VNC i SSH na strumienie HTML5 canvas/WebSocket. Nie ma natywnego klienta do zainstalowania po stronie użytkownika, co jest naprawdę przydatne w workflow wsparcia, gdzie nie można zainstalować oprogramowania na kontrolującym komputerze.

Kompleksowość operacyjna jest wyższa niż w przypadku RustDesk: Guacamole działa jako Java + Tomcat z bazą danych (MySQL lub Postgres) do zarządzania użytkownikami/połączeniami, plus demon guacd. Ustawienie Docker Compose znacząco to upraszcza, ale uruchamiasz 3-4 kontenery zamiast 2 binariów.

Guacamole to odpowiedni wybór, jeśli chcesz konkretnego dostępu w oparciu o przeglądarkę bez oprogramowania klienckiego. To niewłaściwy wybór, jeśli potrzebujesz narzędzia, które obsługuje NAT traversal między dwoma punktami końcowymi bez dodatkowej konfiguracji — Guacamole zakłada, że możesz już osiągnąć docelową maszynę przez RDP/VNC/SSH z serwera Guacamole.

MeshCentral

MeshCentral to platforma zdalnego zarządzania oparta na Node.js od Yliana Saint-Hilaire (wcześniej w Intel). Obsługuje zdalny pulpit, transfer plików, terminal, konsolę internetową i interfejs zarządzania flotą. Architektonicznie jest to pojedyncza aplikacja Node + baza danych (NeDB domyślnie, Postgres opcjonalnie), osiągalna na HTTPS.

MeshCentral jest bardziej narzędziem do zarządzania flotą niż czystym relay'em pulpitu zdalnego — pomyśl o tym jako RustDesk + inwentaryzacja urządzeń + interfejs administracyjny w Internecie. Konfiguracja jest prosta (pojedyńczym npm install + plik konfiguracyjny) i została wdrożona w produkcji przez kilka dużych organizacji, w tym Intel.

Gdzie MeshCentral jest ograniczony: UI jest gęsty i niezbyt dopracowany, klienci mobilni są słabsi niż w przypadku RustDesk, a kodek/wydajność w strumieniowaniu pulpitu nie są tak zoptymalizowane jak w RustDesk czy AnyDesk. Jest najlepszy, gdy chcesz zjednoczonej konsoli administracyjnej dla floty, mniej idealny jako pojedyncze narzędzie do pulpitu zdalnego.

Jak wygląda samodzielnie hostowany relay RustDesk

Krok po kroku na VPS Hetzner CX11 (4 USD/miesiąc) Ubuntu 24.04:

1. Provisioning VPS z publicznym IPv4. Ustaw mocne hasło roota i włącz autoryzację klucza SSH.
2. Otwórz zaporę:

   sudo ufw allow OpenSSH
   sudo ufw allow 21115:21119/tcp
   sudo ufw allow 21116/udp
   sudo ufw enable

3. Zainstaluj binaria serwera RustDesk ze strony wydania GitHub. Umieść je w /opt/rustdesk-server/.
4. Utwórz pliki jednostki systemd dla hbbs i hbbr, aby były ponownie uruchamiane po restarcie. Wiki RustDesk ma jednostki referencyjne; utrzymujemy znaną dobrą kopię w naszym centrum pomocy.
5. Uzyskaj klucz publiczny wydrukowany przez hbbs podczas pierwszego uruchomienia. Rozprowadź go do swoich klientów wraz z nazwą hosta serwera.
6. Skonfiguruj klientów: w ustawieniach klienta GoDesk, ustaw ID Serwera, Serwer Relay i Klucz Publiczny. Klient teraz korzysta z Twojego relay'a zamiast naszego.
7. Opcjonalnie: Zakończenie TLS przez Caddy, jeśli chcesz udostępnić konsolę administracyjną w Internecie (RustDesk Pro) na porcie 443 z automatycznie odnawianymi certyfikatami Let's Encrypt.

Całkowity czas na nowym VPS: około 30 minut za pierwszym razem, 10 minut, jeśli już to zrobiłeś. Bieżące utrzymanie: apt update && apt upgrade co tydzień, obserwuj logi relay'a, ponownie uruchom, jeśli występują wycieki pamięci (rzadkie). Aby uzyskać szczegóły dotyczące wdrożenia w systemie Linux, zobacz naszą stronę platformy Linux.

Stanowisko GoDesk w sprawie samodzielnego hostowania

Pozwalamy Ci samodzielnie hostować relay nawet na płatnych poziomach — jeśli chcesz. Klient na poziomie Pro jest skonfigurowany do komunikacji z naszym zarządzanym relay'em domyślnie, ale możesz w dowolnym momencie przełączyć go na swój relay w ustawieniach. Nie ma bramki "dodatek przedsiębiorstwa na miejscu". To zamierzone: licencja AGPL-3.0 daje prawo do samodzielnego hostowania, a my chcemy, aby to było realne.

Większość użytkowników się tym nie przejmuje. Nasz zarządzany relay po prostu działa, ma globalne punkty dostępowe i jest wliczony w podstawową subskrypcję. Jeśli Twoja opowieść o suwerenności danych wymaga "braku relay'a osób trzecich gdziekolwiek w ścieżce", samodzielnie hostuj. W przeciwnym razie zaoszczędź czas DevOps i korzystaj z zarządzanego relay'a — to jest to, co kupujesz w subskrypcji. Aby zobaczyć pełną architekturę zabezpieczeń, która działa poniżej każdego wdrożenia, zobacz naszą stronę zabezpieczeń.

Kiedy samodzielne hostowanie jest złym wyborem

• Jesteś małym zespołem bez zdolności DevOps. Koszt utrzymania jest rzeczywisty. Jeśli nie masz nikogo, czyja opis pracy obejmuje "łatanie serwerów Linux", samodzielne hostowanie to powtarzający się podatek.
• Potrzebujesz papierów dostawcy do zakupu. Audytorzy proszący o raporty SOC 2 nie zaakceptują "my uruchomiliśmy nasz własny serwer" jako odpowiedzi. Usługi zarządzane z formalnymi certyfikatami są tutaj łatwiejsze.
• Masz tylko 5-20 punktów końcowych. Proporcjonalna opłacalność samodzielnego hostowania w porównaniu do zarządzanego planu za 7,99 USD/miesiąc to setki dolarów rocznie zaoszczędzonego czasu DevOps. Przy 20 punktach końcowych, zarządzany jest bezwzględnie tańszy.
• Robisz to ze względu na oszczędności kosztów na jednym miejscu. VPS za 5 USD/miesiąc plus 2 godziny miesięcznie czasu administratora przy jakiejkolwiek rozsądnej stawce godzinowej już kosztują więcej niż jedno miejsce w usłudze zarządzanej.

Podsumowanie

Samodzielnie hostowany pulpit zdalny to realna opcja, a dla niektórych organizacji to właściwy wybór. RustDesk (i forki takie jak GoDesk) to najłatwiejsza poważna historia samodzielnego hostowania; Guacamole to właściwy wybór dla dostępu przez przeglądarkę; MeshCentral to ogólny menedżer floty. Kompromis zawsze opiera się na czasie DevOps w porównaniu do dolarów. Jeśli masz wymagania dotyczące suwerenności danych, samodzielnie hostuj. Jeśli masz 7,99 USD/miesiąc i wolisz budować produkt niż operacje, korzystaj z zarządzanego relay'a. Zobacz cennik lub pobierz GoDesk i najpierw wypróbuj zarządzany przepływ — można zawsze przejść na samodzielnie hostowane później, zmieniając jedną linię konfiguracyjną.

FAQ

Czy mogę samodzielnie hostować relay i nadal korzystać z interfejsu UI / kont GoDesk?
Tak. Wskaź klienta na Twój relay w ustawieniach. Funkcje konta, które zależą od płaszczyzny kontroli GoDesk (rozliczenia, zarządzanie zespołem) nadal działają; tylko ruch sesyjny przemieszcza się do Twojego relay'a.

Jakiego sprzętu potrzebuję do samodzielnie hostowanego relay'a RustDesk?
Mały VPS: 1 vCPU, 1 GB RAM, 1 TB/miesiąc przepustowości obsługuje dziesiątki jednoczesnych sesji. Hetzner CX11, podstawowy DigitalOcean lub AWS t4g.nano działają. Przepustowość zwykle jest ograniczeniem na dużą skalę, a nie CPU.

Czy samodzielnie hostowany RustDesk obsługuje 2FA / SSO?
Darmowy serwer open-source (hbbs/hbbr) tego nie obsługuje. Płatny serwer RustDesk Pro (oddzielna licencja) dodaje konsolę internetową, OIDC i logi audytowe. Poziom Pro GoDesk w wersji zarządzanej zawiera 2FA już na starcie.

Czy mogę hostować relay na AWS Lightsail / Cloudflare / itp.?
Dowolny dostawca z publicznym IPv4 i możliwością otwierania niestandardowych portów UDP/TCP działa. Standardowy proxy Cloudflare kończy TCP tylko na porcie 443; potrzebowałbyś Cloudflare Spectrum (płatne) lub dedykowanego listenera TCP dla portów RustDesk.

Jak samodzielne hostowanie współdziała z GDPR?
Jeśli Twój relay znajduje się w UE i Twoje dane nigdy go nie opuszczają, zasady transferu między granicami GDPR nie mają zastosowania. To jest główny powód, dla którego wdrożenia w sektorze publicznym UE i opiece zdrowotnej wybierają samodzielne hostowanie.